Bringing Private Processing to Meta AI Glasses

将隐私处理引入Meta AI眼镜 - Meta的工程实践

POSTED ON

2026年9月23日

TO

安全与隐私

将隐私处理引入Meta AI眼镜

.entry-meta

.entry-header

作者

Pritam Shah

,

Oskar Linde

我们认为眼镜是全天候获得人工智能帮助的最佳设备形态。相比其他设备，眼镜能更深入理解你的个人情境，且无需拿起手机即可让你保持专注。

大多数时候，眼镜的功能仅限于帮助你看得更清楚、保护视力以及提升外观，仅此而已。但AI眼镜具备更强大的能力，例如实时翻译对话、总结笔记或对话内容等。

目前人们给予眼镜的许多指令，如免提拨打电话或回复短信，都可以在设备本地完成。但更高级的功能需要更大、更强大的AI模型——远超眼镜设备的承载能力。

而计算能力只是问题的一半。要让AI助手在日常生活中真正实用，它还必须具备状态记忆功能并高度个性化——理解你的使用情境，跨天甚至跨周关联想法，并在后台主动为你完成任务。

综合这些需求，这些工作必须在云端完成。AI眼镜提出了一个传统云架构从未设计过的挑战：如何构建一个高度个性化的人工智能系统，在增强隐私保护的前提下深入理解你的世界？

我们的解决方案是隐私处理（Private Processing），这是Meta为AI工作负载设计的保密计算基础设施。它将AI眼镜的信任边界直接延伸至云数据中心，在保密虚拟机（CVM）中运行AI模型，即使Meta本身也无法访问你的数据。

这对我们来说并非全新概念。2025年，我们为WhatsApp和Meta AI应用引入了隐私处理功能，使用户能够与Meta AI进行完全私密的对话，而Meta或WhatsApp永远无法看到这些数据。我们从最初的方案中获得了经验，并正在扩展该技术，将相同的隐私优势带给我们的AI眼镜。本文将重点介绍我们如何构建一个能够在大规模场景下处理个人情境的云运行时环境。

“能够理解我们情境的个人设备（如眼镜，因为它能看到我们看到的、听到我们听到的，并全天候与我们互动）将成为我们主要的计算设备。” —— 马克·扎克伯格，《个人超级智能》，2025年7月。

什么是保密计算、TEE和隐私处理？

保密计算是一种技术范式。历史上，行业仅对数据的两种状态进行加密：静态存储（磁盘上）和传输过程（网络中）。漏洞始终存在于第三种状态：使用过程中。为了进行计算，数据必须在内存中解密，这使其暴露在主机操作系统、虚拟机管理程序和基础设施运营商面前。保密计算是行业范围内的一项运动，旨在弥补这一差距，确保数据在处理过程中依然受到保护。

可信执行环境（TEE）是一种硬件原语。TEE是某些CPU和GPU中的硬件功能，能够实现保密计算。处理器使用芯片上专用安全硬件持有的密钥，对特殊虚拟机（CVM）的内存进行加密。该密钥永远不会被主机操作系统、虚拟机管理程序或机器操作人员获取。

该功能覆盖主机CPU和GPU，因此需要同时使用这两种计算目标的工作负载可以在它们之间保持在信任边界内。对于主机操作系统、虚拟机管理程序和基础设施管理员而言，CVM内存中的内容始终是密文。

根据机密计算联盟（Confidential Computing Consortium，CCC）的定义，TEE通过物理方式强制执行以下三项严格保证：

• 数据机密性：CVM之外的任何实体（包括Meta和主机操作系统）在CVM内存中使用数据时，均无法读取这些数据。
• 数据完整性：CVM之外的任何实体均无法添加、删除或修改这些数据。
• 代码完整性：一旦代码加载到CVM中，任何实体均无法修改其执行内容。

客户端会要求远程认证报告，该报告由芯片内部唯一存在的密钥签名，包含CVM加载的软件镜像的测量值。随后，客户端会验证该签名是否可追溯至芯片供应商发布的根密钥，并确认测量值是否与第三方独立见证的只追加账本中发布的记录匹配。若任一验证失败，客户端将拒绝连接，且不会发送任何数据。

Private Processing是Meta基于可验证透明性的TEE构建的机密计算基础设施。在硬件提供的保密性和认证能力基础上，它进一步实现了不可针对性和加密存储。

针对AI眼镜的Private Processing：扩展设备边界

你使用AI助手的频率越高，它通过学习你的风格、偏好和上下文就越有用。可穿戴AI助手将以类似方式帮助你，包括日常生活的方方面面。为此，它们需要了解你及其上下文，这可能包括跨天或跨周关联想法，并在后台主动运行，无需你重复操作即可完成任务。这需要超出眼镜等符合人体工学的设备形态本地计算能力的算力支持。

这就是Private Processing发挥作用的地方。传统云架构会对传输中和静态数据进行加密，但在处理过程中必须解密这些数据——这可能在使用时将其暴露给底层系统。Private Processing帮助我们解决这一问题，确保设备外的数据对包括Meta在内的任何人都无法访问。

为实现这一目标，我们在AI眼镜上构建Private Processing时，遵循了五个工程要求，所有要求均旨在安全地将高强度AI工作负载（如流式转录、上下文搜索和长期记忆）卸载到设备外：

• 硬件隔离：用户数据在传输、使用和静态存储时，必须对主机操作系统、虚拟机管理程序和Meta加密不可读。
• 失败关闭保障：任何试图修改机密处理保证的行为，必须导致系统失败关闭，或通过可验证透明性被公开发现。
• 公共可验证性：所有在生产环境中运行的CVM镜像均会注册到一个只追加、由公众见证的透明账本。
• 不可针对性：攻击者或恶意行为者必须无法在不试图破坏整个Private Processing系统的情况下，针对特定个人的会话或存储进行攻击。
• 加密存储：当产品需要为Private Processing后续访问存储数据时，数据将被加密，并且仅能通过用户提供的密钥访问。

我们设计了这一多区域、容错系统，以高可靠性处理大量数据。

Private Processing 针对特定威胁集进行防御。基础威胁模型已在《Private Processing 白皮书》中详细记录。

Private Processing 在 AI 眼镜中的工作原理

1. 身份解耦（不可追踪路由）

在数据离开眼镜之前，我们必须解决一个元数据问题。如果知道是谁发送请求，运营商可能会将你的流量路由到被入侵的设备。在会话建立过程中，我们使用匿名凭证——通过随机时间表获取的盲签令牌——使得当你的设备发起请求时，我们的认证服务无法将其关联到你的账户。随后，你的设备通过第三方 OHTTP 中继（Fastly 或 Cloudflare）连接到我们的网关，以选择一个 TEE 节点。传入的请求由基于非用户可识别启发式算法选择的 TEE 进行处理。

2. 远程验证（验证）

在眼镜发送任何上下文信息之前，它们会验证我们的服务器。设备启动远程验证和 TLS（RA-TLS）会话，要求服务器的 TEE 提供硬件签名证书。眼镜将 TEE 的二进制哈希值与独立的公共透明账本进行交叉核对。如果 CPU/GPU 厂商证书检查失败，或二进制哈希与账本不匹配，握手将失败，设备无法连接。

3. 处理（执行）

一旦服务器证明其可信性，你的设备将通过 TLS 安全通信。我们的基础设施会路由加密数据块，但无法读取其内容。在 TEE 内部，AI 模型在隔离环境中运行，即使 Meta 也无法访问你的数据。如果我们的模型需要与其他模型通信，TEE 必须通过相同的严格 RA-TLS 协议进行验证后才能传输数据。

4. 有状态内存（加密存储）

当功能需要持久化内存时，输出在离开 TEE 之前会使用用户提供的密钥进行加密。Meta 的基础设施存储加密后的密文。当你需要后续检索内存时，设备会提供密钥，TEE 解密数据并处理你的查询。

边界内的存储：加密存储

人们希望从 AI 眼镜获得的体验，如跨会话连续使用或回忆早期时刻，只有在系统能够长期保留信息时才能实现。为 AI 眼镜构建有状态体验迫使我们做出架构选择。显而易见的方法是在设备上加密用户数据，并将其存储在标准云数据库中。

这种方法在仔细审视下存在两个问题：

• 访问模式泄露行为：即使数据库内容被强加密，外部数据库仍能观察你读写数据的时间、查询频率以及哪些记录被同时访问。仅凭这些元数据就能映射你的日常习惯和行为模式。加密保护了数据内容，却无法隐藏执行模式。

• 远程加密查询无法扩展：在传统加密存储上运行语义向量搜索或多会话连接等复杂操作，需要从数据库中提取大量密文数据，通过网络传输到安全 TEE，解密后才能执行单个查询。随着用户上下文增长，延迟激增，性能崩溃。

为了解决这两个问题，我们直接在TEE内部构建了存储引擎。我们扩展了信任边界，使数据不仅被机密处理，还被机密存储。您的数据始终保持加密状态，仅能通过TEE在CPU和GPU之间访问；随时可供您调用，却完全无法被其他任何人（包括Meta）访问。

我们不再将云视为远程数据库，而是通过按需执行的有状态私有处理，将执行和状态直接定位在处理器加密内存中。查询引擎直接在TEE边界内运行。读写事务速度极快，因为读取操作永远不会跨越外部网络边界。

黑暗中的调试：操作可观测性

当您构建一个通过加密方式阻止操作员访问的基础设施时，会面临一个根本性的运维挑战：当工程师无法查看内部时，如何维护高可用性系统？

标准的工程诊断手段在TEE内部完全失效：

• 工程师无法将调试器附加到正在运行的TEE上。
• 系统无法在崩溃时转储内存堆栈或记录模型输入输出。
• 团队无法检查触发操作故障的具体有效载荷。

操作可见性必须完全通过带外方式实现。我们设计的可观测性层依赖于聚合健康信号——CPU利用率、内存分配、网络延迟和聚合硬件故障率。这些信号使我们能够在不暴露任何用户数据字节的情况下，维持服务健康和正常运行时间。

可验证的透明度

如果安全声明依赖于信任提供方，那么这些声明毫无意义。私有处理的设计确保我们做出的每项架构保证都可以由外部研究人员独立验证。

通过公共账本实现二进制透明度

每个部署在生产环境的CVM镜像都会被登记到一个仅追加、公开见证的透明账本中。如果我们曾试图部署与已发布内容不同的代码，客户端设备和外部监控系统将能够发现这种不匹配。这建立了防篡改证据。由于每个部署的镜像都被记录，我们无法在不受我们控制的记录中隐藏二进制替换。二进制访问使研究人员能够进一步验证记录的镜像是否如我们所述那样运行。

账本及其记录的测量数据是公开可见的。相应的二进制文件在我们的安全计划中根据协议向研究人员开放。

第三方验证

此设计假设我们数据中心内部存在敌对环境。传统云安全的边界位于边缘：它保护服务器免受外部世界侵害，但信任虚拟机管理程序、宿主操作系统和运行它们的管理员。私有处理将边界向内移动，将这三个组件排除在信任边界之外。

为验证这一立场，我们不仅依赖内部审查。我们积极与独立安全公司（如NCC Group）和研究人员合作，审计我们的架构设计，审查我们的认证逻辑，并探索我们隔离模型的边界。

Meta的漏洞赏金计划：外部审计与研究

透明性需要开放的验证渠道。为了推动对Private Processing设计和实现的独立安全研究，我们正在扩展漏洞赏金计划，明确将AI眼镜上的Private Processing纳入覆盖范围。我们将为外部研究人员提供必要的工具、CVM二进制文件和文档，以便他们审计我们的实现、测试验证链，并对平台进行监督。

面向自主代理未来的Private Processing

迄今为止，Private Processing主要专注于离散任务，例如消息摘要。但人工智能的未来将是自主代理和多模态的。未来，您的眼镜将能够在不同会话和现实场景中代表您执行各种操作。随着我们致力于推出能够全天候协助您的体验，Private Processing将成为我们的技术基石。

眼镜上的AI将变得越来越具有状态性、多模态性和自主性，这意味着信任边界也将变得更加复杂。处理敏感状态的代理需要严格的隔离、可验证的数据来源以及CVM之间的通信。我们的Private Processing基础设施正是实现这一未来的基础。AI能力将持续扩展，但安全与隐私的边界将始终得到保障。